[论文解读] Open Network Handles Implemented in DNS

Michael J. O’Donnell|ArXiv.org|Jan 14, 2003

IPv6, Mobility, Handover, Networks, Security参考文献 1被引用 5

一句话总结

本文提出了一种开放网络句柄系统（ONHS），利用DNSSEC实现持久的、密码学安全的网络标识符（句柄），作为基于哈希的令牌，与公钥绑定。通过利用DNS进行解析并利用DNSSEC保障完整性，ONHS实现了无需人工管理命名的可靠、自动化、去中心化的句柄解析，为持久的网络寻址提供了一个轻量但稳健的基础。

ABSTRACT

An Open Network Handle System (ONHS) provides an intermediate level of service between IP numbers and domain names. A handle adheres permanently to an owner, who may assign and reassign it to different addresses at will. But a handle is a number, carrying no significance in natural language. Any user desiring a handle may generate one from a public key. This memo describes a simple implementation of an Open Network Handle System using the security extensions to the Domain Name System (DNSSEC).

研究动机与目标

• 设计一个最小化、去中心化的持久网络标识符系统，将命名与人类可读的语义解耦。
• 使用户能够使用公钥密码学自主生成和管理自己的网络句柄，无需依赖中心化权威机构。
• 利用现有的DNS基础设施与DNSSEC，提供可扩展、安全且自动化的句柄解析机制。
• 通过使用密码学绑定的、无意义的标识符，消除句柄所有权争议，从而最小化管理开销。
• 通过将信任积累和声誉系统锚定在密码学生可验证的句柄上，为未来支持信任积累和声誉系统奠定基础。

提出的方法

• 使用密码学哈希函数从公钥生成句柄，确保其唯一性和不可变性。
• 将句柄表示为DNS中的分层域名，实现与现有DNS基础设施的集成。
• 利用DNSSEC保护解析过程，确保句柄到地址映射的数据完整性和真实性。
• 定义特定的DNS资源记录（RRs），用于在根区和所有者区域中绑定句柄，以支持解析与审计。
• 通过带有密码学生验证的DNS事务，支持句柄更新、解析查询和审计等操作。
• 采用去中心化的根服务器模型，配合密码学信任锚点，允许任何实体运行根句柄服务器。

实验结果

研究问题

• RQ1 如何在最小化管理开销和最大化去中心化程度的前提下实现持久的网络标识符？
• RQ2 DNSSEC能否被有效利用，为分布式句柄解析系统提供完整性与真实性保障？
• RQ3 如何在确保抵抗欺骗与篡改攻击的前提下，实现句柄所有权与分配的自动化？
• RQ4 密码学哈希与公钥绑定在创建自认证网络标识符中扮演何种角色？
• RQ5 如何在不将信任集中于句柄系统本身的前提下，围绕句柄积累信任与声誉？

主要发现

• ONHS成功地仅使用DNS和DNSSEC实现了持久的、密码学安全的句柄系统，无需引入新协议或基础设施。
• 句柄作为公钥的哈希码生成，确保其唯一性、不可变性，并能抵抗碰撞或伪造攻击。
• DNSSEC确保了解析响应的密码学认证，防止篡改与中间人攻击。
• 该系统支持自动化的句柄更新与解析，操作复杂度极低，具备大规模部署的潜力。
• 句柄的分层结构支持信任链，尽管个体信任通过带外方式建立，从而保持了系统最小化信任模型的特性。
• ONHS通过将信任锚定在密码学生可验证的句柄上，为未来服务（如声誉系统或身份绑定）提供了基础。